Techgiganten waarschuwen voor AI-cyberaanvallen — en dat roept vragen op

TL;DR

• Wat: Meer dan 130 bedrijven, waaronder OpenAI, Google, Microsoft en Anthropic, publiceerden een open brief die oproept tot collectieve actie tegen AI-gestuurde cyberaanvallen.
• Waarom relevant: AI maakt cyberaanvallen sneller en gerichter — ook voor het MKB. In Nederland kreeg 1 op de 5 organisaties recent te maken met digitale incidenten.
• Wat je ermee kunt: Controleer of jouw basisbeveiliging (e-mail, wachtwoorden, back-ups) op orde is nu de Cyberbeveiligingswet per 15 augustus 2026 van kracht is.

Gisteren publiceerden meer dan 130 bedrijven — van OpenAI en Google tot CrowdStrike en Zurich — een open brief met de titel A Call for Collective Action on Cyber Defense. Ik viel erover omdat het niet zomaar een brief is: het is een gezamenlijke waarschuwing dat AI-gestuurde cyberaanvallen binnenkort veel wijdverbreider en geavanceerder worden. Dat klinkt als iets voor de IT-afdeling van een multinational, maar de cijfers laten zien dat het net zo goed over jouw bedrijf gaat.

Wat staat er in die brief?

De open brief draait om drie kernprincipes:

1. De huidige beveiliging is niet genoeg. De ondertekenaars stellen dat bestaande beveiligingspraktijken niet zijn ontworpen voor de snelheid en het aanpassingsvermogen van AI-gestuurde aanvallen.
2. Meer verdedigers moeten AI-tools krijgen. Niet alleen aanvallers gebruiken AI — verdedigers moeten dat ook doen, met tools die kwetsbaarheden sneller opsporen.
3. Er is een collectieve reactie nodig. Geen enkel bedrijf kan dit alleen. Overheden, cybersecuritybedrijven en AI-ontwikkelaars moeten samenwerken.

Concreet roept de brief organisaties op om cyberbeveiliging tot een directe leiderschapsprioriteit te maken, om de hoogste risico's als eerste aan te pakken, en om verdedigingsmaatregelen continu te testen tegen de meest geavanceerde aanvalsmethoden. AI-bedrijven worden specifiek gevraagd om beveiligingstools te bouwen, traceerbare identiteiten voor AI-agents te garanderen en best practices voor monitoring te delen.

Onder de ondertekenaars zitten naast de grote techbedrijven ook namen als Cisco, Cloudflare, Dell, Hugging Face, Perplexity, verzekeraar Marsh en herverzekeraar Zurich. Dat die laatste twee erbij staan, vind ik opvallend — het zegt iets over hoe serieus de verzekeringsindustrie AI-cyberrisico's inschat.

Waarom klinkt er ook kritiek?

Niet iedereen reageert enthousiast. Op X publiceerde gebruiker @the_hulster een "Open Reply" aan de ondertekenaars, en ook in de techpers klinkt scepsis. De kritiek richt zich op de timing: AI-systemen hebben al aangetoond dat ze omgevingen kunnen manipuleren, en hackers hebben al publiek beschikbare chatbots ingezet tegen overheidsinstanties. De brief voelt voor critici daarmee reactief — een waarschuwing die komt nádat het probleem al zichtbaar is.

Ik vind die kritiek begrijpelijk. Als je als groep van 130 bedrijven — waaronder de bedrijven die deze AI-modellen zelf bouwen — nu pas publiekelijk zegt "we moeten iets doen", dan kun je je afvragen: waarom niet eerder? Tegelijkertijd denk ik dat een gezamenlijke brief, hoe laat ook, meer waard is dan stilte. De vraag is alleen wat er ná de brief gebeurt.

Wat betekent dit voor een Nederlands bedrijf?

Je hoeft geen multinational te zijn om geraakt te worden. Enkele cijfers die ik tegenkwam:

• 1 op de 5 Nederlandse organisaties kreeg recent te maken met een digitaal incident, variërend van phishing tot ransomware.
• Volgens Kaspersky is het aantal malware-aanvallen op MKB-bedrijven, vermomd als AI-diensten, in 2026 vervijfvoudigd.
• Phishing blijft de meest voorkomende aanvalsmethode: 64% van de getroffen bedrijven meldde phishingaanvallen.
• De gemiddelde tijd tussen binnenkomst van een aanvaller en daadwerkelijke schade is nog maar 29 minuten.

Dat laatste cijfer vind ik eerlijk gezegd alarmerend. 29 minuten — dat is korter dan de meeste vergaderingen duren. Kun je je voorstellen dat een aanvaller in je systemen zit en je er pas achter komt als de schade al is aangericht?

De Cyberbeveiligingswet is nu van kracht

Wat daar nog bij komt: de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Die wet stelt eisen aan de digitale weerbaarheid van organisaties, en hoewel niet elk MKB-bedrijf er direct onder valt, werkt de wet door in de keten. Als jij toeleverancier bent van een bedrijf dat wél onder de wet valt, kun je te maken krijgen met strengere eisen aan jouw beveiliging.

Shadow AI als extra risico

Een term die ik in de Nederlandse berichtgeving tegenkwam: shadow AI. Dat zijn AI-tools die medewerkers op eigen initiatief gebruiken, zonder dat de organisatie daar zicht op heeft. Denk aan een medewerker die klantgegevens in een gratis AI-chatbot plakt om een e-mail te laten schrijven. Dat vergroot de kwetsbaarheid voor datalekken aanzienlijk — en het is precies het soort risico dat in een MKB-omgeving makkelijk over het hoofd wordt gezien.

Wat kun je er nu mee?

Ik ben geen cybersecurity-expert, maar wat mij opvalt in alle berichtgeving is dat de basismaatregelen nog steeds het meeste verschil maken. Sterke wachtwoorden, tweefactorauthenticatie, regelmatige back-ups, en bewustwording bij medewerkers over phishing. Het klinkt niet spectaculair, maar het is wel wat het verschil maakt tussen een aanval die stukloopt en een die slaagt.

Stel dat je als ondernemer één ding zou doen naar aanleiding van dit nieuws: kijk eens kritisch naar welke AI-tools je medewerkers gebruiken en of daar bedrijfsgevoelige informatie in terechtkomt. Dat is geen technische exercitie — dat is een gesprek aan de koffietafel.

Tot slot

Voor mij is dit nieuws vooral een signaal dat de grote techbedrijven zelf erkennen dat de AI-systemen die zij bouwen, ook risico's met zich meebrengen die ze niet in hun eentje kunnen beheersen. Dat is een eerlijk inzicht. Of de brief uiteindelijk leidt tot concrete actie of vooral een symboolgebaar blijft — dat zal de komende maanden duidelijk worden. Wat ik wel weet: de dreigingen wachten niet op collectieve brieven.